基本情報技術者 2019年春期午前（科目A）問43

問題文

OSI基本参照モデルのネットワーク層で動作し、“認証ヘッダ（AH）”と“暗号ペイロード（ESP）”の二つのプロトコルを含むものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：IPsec（正解）

イ：S/MIME

ウ：SSH

エ：XML暗号

🔒 解説は解答すると表示されます

IPsecプロトコル【午前解説】

正解の理由

正解はア（IPsec）です。AH（Authentication Header）とESP（Encapsulating Security Payload）はどちらもIPパケット単位でセキュリティ機能を追加するプロトコルで、OSIモデルのネットワーク層で動作します。AHは送信元認証とメッセージ整合性を提供し、ESPは主に機密性（暗号化）を提供し、必要に応じて認証も行います。これらはIPヘッダやIPペイロードに直接作用するため、アプリケーション層やセッション層のプロトコルとは異なります。

解法ステップ

問題文で「AH（認証ヘッダ）」「ESP（暗号ペイロード）」が出てきたら、まずそれがどのレイヤで動作するかを思い出す。
AH/ESPがIPパケットそのものを保護する仕組みであるため、ネットワーク層（第3層）で動作すると判断する。
各選択肢をレイヤ観点で照合：IPsecはネットワーク層、S/MIME・SSH・XML暗号はアプリケーション層であることからIPsecを選ぶ。

選択肢別の誤答解説

ア: IPsec — 正解。AH（認証）とESP（暗号化／認証）を含み、ネットワーク層でIPパケット保護を行う。IKEで鍵交換し、トンネル／トランスポートモードを持つ。
イ: S/MIME — 誤り。電子メールのメッセージレベルで署名・暗号化を行うアプリケーション層技術であり、AH/ESPとは無関係。
ウ: SSH — 誤り。リモートログインやトンネルを提供するアプリケーション層（トランスポートの上）プロトコルで、IPパケット単位のAH/ESPを含まない。
エ: XML暗号 — 誤り。XML文書の特定要素を暗号化するためのデータフォーマット／仕様で、ネットワーク層プロトコルではない。

よくある誤解

「SSHやS/MIMEもAHやESPを含む」と誤解する人がいるが、これらはアプリケーション層で動作しパケット単位のAH/ESPとは別物です。
「AHとESPは同じ機能を持つ」と思いがちだが、AHは暗号化を行わず整合性と認証が主、ESPは暗号化と選択的な認証を行います。
「IPsecはポート番号で制御される」と誤認するケースがあるが、AH/ESPはIPプロトコル番号で識別される点が重要です。

補足コラム

AHはプロトコル番号51、ESPはプロトコル番号50で識別されます（IPv4/IPv6共通）。
IPsecにはトランスポートモード（エンドツーエンドでIPペイロードを保護）とトンネルモード（ゲートウェイ間でIPヘッダごとカプセル化）があり、VPNでよく利用されます。
NAT環境では、AHは送信元IPアドレスや一部不可変フィールドに署名を含むためNATと相性が悪く、ESP（NAT-T）やIPsecの拡張が用いられることが多いです。
鍵交換には通常IKE（Internet Key Exchange）が使われ、IKEv2が広く採用されています。

FAQ

Q: AHとESPの両方を同時に使うことはありますか？
A: 可能ですが一般的にはESP単独で暗号化＋認証を行うことが多く、用途に応じて使い分けられます。

Q: IPsecはVPNだけの技術ですか？
A: VPNで多用されますが、ホスト間のトラフィック保護やセキュアなルーティングにも利用されます。

Q: AHは機密性を提供しますか？
A: いいえ。AHは認証と整合性（改ざん検出）を提供しますが、ペイロードの暗号化は行いません。機密性はESPが主に担当します。

関連キーワード: IPsec、AH、ESP、IKE、VPN、ネットワーク層、トンネルモード、トランスポートモード、認証ヘッダ、暗号ペイロード、NAT-T

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

基本情報技術者を
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！